监管时间线：接下来的节点
2025-07-01未最终确定
现行合订本：经 DIFC 第 1 号修订法（2025）与第 2 号修订法（2022）修订
DIFC 数据保护法 2020 及其数据保护条例（含第 10 条人工智能系统规则）2025-09-09
《数据保护条例（第 1 号修订）2025》自公布之日起生效
ADGM 数据保护条例 2021（阿布扎比全球市场）2026-09-12未最终确定
核实：实施细则尚未在官方渠道检索到，整改过渡期与行政处罚目录仍待细则与内阁决议落地
阿联酋联邦个人数据保护法（2021 年第 45 号法令）
适用法规（3）
阿联酋联邦个人数据保护法（2021 年第 45 号法令）
中国 AI 企业受本法约束的典型业务动作：（1）在阿联酋大陆（mainland，即 DIFC／ADGM 以外）设立公司或办事处，处理员工、客户或用户个人数据；（2）虽在境外，但处理阿联酋境内数据主体的个人数据——例如向阿联酋用户开放 App、模型 API、智能座舱或服务机器人并采集其账号、位置、语音、影像；（3）作为阿联酋大陆客户的处理者承接标注、训练、推理或运维；（4）通过阿联酋经销商销售含摄像头／麦克风的硬件并回传数据。若企业注册在 DIFC 或 ADGM 自由区，则适用该自由区的数据保护立法而非本法；跨自由区与大陆的数据流动需分别判断。
4 条义务 · 复核 2026-09-12
DIFC 数据保护法 2020 及其数据保护条例（含第 10 条人工智能系统规则）
中国 AI 企业在以下情形直接适用：（1）在 DIFC 注册子公司、区域总部或研发实体——第 6(3)(a) 条规定，只要控制者或处理者在 DIFC 注册，无论处理行为是否发生在 DIFC 内均适用；（2）虽未在 DIFC 注册，但作为"稳定安排（stable arrangements）"的一部分在 DIFC 内处理个人数据，包括把数据传出 DIFC——第 6(3)(b) 条不问注册地；（3）向 DIFC 内的银行、保险、资管、金融科技客户提供模型、风控评分、KYC／人脸核身、智能客服或数据标注服务，从而成为其处理者或子处理者；（4）你的 AI 系统被 DIFC 实体部署或运营——此时你很可能落入第 10 条的"提供者（Provider）"角色，需要向部署者与运营者提供足以支撑其告知义务与合规设计声明的材料。
9 条义务 · 复核 2026-09-12
ADGM 数据保护条例 2021（阿布扎比全球市场）
中国 AI 企业受 ADGM 条例约束的情形：（1）在 ADGM 注册实体（含区域总部、基金、金融科技牌照主体、里姆岛扩区后的经营主体），只要该机构的活动涉及个人数据处理，无论处理是否发生在 ADGM 内——第 3(1) 条；（2）作为处理者为 ADGM 之外的控制者处理数据时，须在考虑该控制者本国法项下类似义务的前提下尽可能遵守本条例——第 3(2) 条；（3）向 ADGM 内的金融机构提供风控模型、KYC、智能投顾或数据服务而成为其处理者或子处理者。注意 ADGM 的登记制是刚性的：只要在 ADGM 注册的实体处理个人数据，就必须以控制者身份登记并缴纳数据保护费，未按时缴纳可按费额的 150% 另处罚款。
4 条义务 · 复核 2026-09-12
数据出境路径
阿联酋跨境传输：联邦 PDPL（第 22、23 条）与 DIFC 数据保护法（第 26、27 条）
两套规则均无数量门槛。DIFC 的无充分性通道见第 27 条：第 27(1) 条允许在下列条件下向第三国或国际组织传输 —— (a) 相关控制者或处理者已提供适当保障（如第 27(2) 条所述），且数据主体的可执行权利与有效法律救济可用；(b) 适用第 27(3) 条的特定减损之一；或 (c) 适用第 27(4) 条的有限情形。第 27(2) 条列明适当保障可由以下方式提供：(a) 公共机关之间具法律约束力的文书；(b) 具约束力的公司规则（受第 27(6) 条约束）；(c) 由专员依规定制定此类条款程序的条例所采纳的标准数据保护条款；(d) 依第 48 条获批准的行为准则，连同第三国或国际组织中控制者或处理者关于适用适当保障（包括就数据主体权利而言）的具约束力与可执行承诺；(e) 依第 50 条获批准的认证机制，连同同样的具约束力与可执行承诺。第 27(3) 条列明减损：(a) 数据主体在被告知因缺乏充分性决定或适当保障而产生的可能风险后明确同意；(b) 为履行数据主体与控制者之间的合同或应数据主体请求实施缔约前措施所必需；(c) 为控制者与第三方之间为数据主体利益订立的合同的订立或履行所必需；(d) 为重大公共利益（Substantial Public Interest）的理由所必需；(e) 为 DIFC 的利益（包括 DIFC 机构适当履行其职能的利益）所必需或法律要求；(f) 为确立、行使或抗辩法律主张所必需；(g) 为保护数据主体或他人的重大利益而在数据主体身体上或法律上无法同意时所必需；(h) 依适用法律与第 9(1)(f) 条数据最小化原则、从旨在向公众提供信息（且向公众或能证明正当利益者开放查阅）的登记簿作出的传输；(i) 在第 28 条约束下，该传输为遵守控制者所受适用法律项下义务所必需，或应监管机构、警方、其他政府机关或主管机关的合理要求作出；(j) 在符合国际金融标准的前提下，该传输为维护控制者在国际金融市场获认可的正当利益所必需，但被数据主体基于其特定处境的正当利益压倒的除外；(k) 该传输为遵守适用于控制者或处理者的反洗钱或反恐融资义务、或为预防或侦查犯罪所必需。第 (i)(j)(k) 项在实务中至关重要 —— 涉及应监管机构/执法机关要求的传输，不要把第 27(3) 条误读为只有 (a) 至 (h) 八项。另依第 27(6) 条，受 DIFC 法约束的公共机关不得援引第 27(3)(a)(b)(c) 项或第 27(4) 条。境内 PDPL 的关键待定事项：第 28 条规定内阁应基于数据办公室总干事的提议发布本法令法的实施细则；第 29 条规定控制者与处理者应自实施细则发布之日起在规定期限内使其状态符合本法令法规定，内阁可再延长同样期限。核实说明：上述两条的具体月数在本轮取得的官方阿拉伯文 PDF 中未能从文本层读出（数字未被嵌入可提取文本），故此处不写死月数。同时，阿联酋立法门户对非浏览器客户端一律返回 403，本轮无法核实其「Related legislations」面板；在阿联酋政府官方平台 u.ae 的数据保护法页面上亦未见实施细则。因此第 23 条末款所授权的具体控制与条件是否已落地无法确认，境内合规的可执行细节存在不确定性 —— confidence 因此定为 medium，使用前须重新核查实施细则状态。
预计周期：估算：DIFC 合同/BCR 路径 3-8 周；境内 PDPL 合同路径 3-6 周，但实施细则状态未确认，文本可能需在细则明确后调整。第 22 条所述「经数据办公室批准」的具体程序与时限本轮未核实。 · 成本档位 Medium
来源（9）
- 《2021 年第 45 号联邦法令》关于个人数据保护（官方英文本）阿联酋立法门户 uaelegislation.gov.ae（司法部） · 发布 2021-09-26 · 核实 2026-09-12
- 阿联酋政府门户《个人数据保护法》专页（含数据局职责）阿联酋政府官方门户 u.ae · 核实 2026-09-12
- DIFC《2020 年数据保护法》（DIFC 第 5 号法，2025 年 7 月合订本）迪拜国际金融中心（DIFC） · 核实 2026-09-12
- DIFC《数据保护条例》（第 2 号合订本，2023-09-01 生效，含第 10 条自主/半自主系统条款）迪拜国际金融中心（DIFC） · Regulation 10 · 发布 2023-09-01 · 核实 2026-09-12
- DIFC 数据保护专员办公室官网（充分性名单、标准合同条款、备案与泄露报告入口）DIFC 数据保护专员办公室 · 核实 2026-09-12
- DIFC 第 10 条专页（AI 系统认证框架、认可认证机构、自主系统官 ASO）DIFC 数据保护专员办公室 · 核实 2026-09-12
- ADGM《2021 年数据保护条例》正式文本阿布扎比全球市场（ADGM）法律框架 · 发布 2021-02-11 · 核实 2026-09-12
- ADGM《数据保护条例（第 1 号修订）2025》阿布扎比全球市场（ADGM）法律框架 · 发布 2025-09-09 · 核实 2026-09-12
- ADGM 数据保护办公室官网（控制者登记要求）阿布扎比全球市场（ADGM） · 核实 2026-09-12
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。